...
Skabelon: sikringsrapport
En sikringsrapport beskriver, hvad der blev sikret, hvordan og af hvem. Den er kortere end en forensic-rapport og indeholder ingen analyse eller konklusion om sagen. Formålet er, at en sagkyndig, en advokat eller en modpart senere kan se præcis, hvad der skete under sikringen, og vurdere, om beviskopierne kan bruges. Skabelonen er lavet, så IT-afdelingen eller MSP’en selv kan udfylde den efter en akut sikring.
Hent skabelonen
Fri brug uden tilmelding. CSV-filerne bruger semikolon og UTF-8, så de åbner korrekt i dansk Excel. Eksempelrækkerne er fiktive og kan slettes.
Hvornår skal der skrives en sikringsrapport?
Altid, når data er sikret med henblik på en mulig sag, også selv om ingen ved, om sagen bliver til noget. Typisk efter:
- en akut sikring af en computer eller server, før den blev geninstalleret,
- eksport af logs og postkasser fra Microsoft 365 eller Google Workspace efter en hændelse,
- sikring af en fratrådt medarbejders udstyr og konti,
- en målrettet indsamling fra filshares eller forretningssystemer.
Er det en ekstern sagkyndig, der har sikret, skriver den sagkyndige rapporten. Har IT-afdelingen eller MSP’en selv sikret, er det dem, der bedst kan beskrive forløbet, og rapporten bør skrives, mens detaljerne er friske.
Sådan bruger du skabelonen
- Skriv rapporten samme dag som sikringen, ud fra noter og handlingslog. → Skabelon: handlingslog
- Beskriv, hvad der skete, ikke hvad der burde være sket. Afvigelser og fejl skal med; de er ikke pinlige, men nødvendige.
- Undlad konklusioner om sagen. Skriv “der blev sikret en postkasse-eksport for perioden”, ikke “medarbejderen sendte filer”.
- Vedlæg hash-log og bevislog som bilag.
- Underskriv og dater rapporten, og gem den sammen med bevisloggen.
Skabelonen
1. Forside
- Titel: Sikringsrapport, sag (navn eller nummer)
- Dato for rapport:
- Udarbejdet af (navn, rolle, organisation):
- Bestilt af (navn, rolle):
- Version:
2. Baggrund og formål
- Hvorfor blev der sikret? (kort, uden konklusioner)
- Hvilke spørgsmål skal sikringen kunne understøtte senere?
- Hvem besluttede sikringen, og hvornår?
3. Kilder
Udfyld for hver kilde:
- ☐ Bevis-id
- ☐ Type (computer, server, telefon, postkasse, log, cloudkonto)
- ☐ Identifikation (serienummer, hostnavn, konto, tenant)
- ☐ Bruger eller ejer
- ☐ Tilstand ved ankomst (tændt/slukket, låst, netværk, kryptering)
4. Metode
- Valgt sikringsmetode pr. kilde (image, logisk, målrettet, eksport, live) og begrundelse:
- Skrivebeskyttelse brugt:
- Værktøjer og versioner:
- Søgekriterier og tidsvinduer ved eksporter:
- Hvor beviskopierne blev gemt:
Valget af metode er beskrevet i Fysisk, logisk eller målrettet sikring.
5. Forløb
En kort tidslinje over sikringen med klokkeslæt og tidszone:
- ☐ Ankomst eller start
- ☐ Hændelser før sikringen (fx isolering fra netværk, nedlukning)
- ☐ Start og slut for hver sikring
- ☐ Hashkontrol
- ☐ Forsegling og afslutning
6. Resultat
- Liste over beviskopier med bevis-id og hashværdi (eller henvisning til hash-log):
- Hvad blev ikke sikret, og hvorfor (fx manglende nøgle, licens, utilgængelig enhed):
7. Afvigelser og indgreb
- Ændringer på kilden før eller under sikringen (logins, genstarter, oprydning):
- Fejl under sikringen og håndtering:
- Personer, der har haft adgang til kilden før sikringen:
Det er afgørende for den senere analyse at kunne skille egne spor fra sagens. → Kontaminering: når undersøgelsen selv efterlader spor
8. Opbevaring
- Opbevaringssted og adgangskontrol:
- Kryptering:
- Ansvarlig for opbevaring:
9. Bilag
- Bevislog
- Hash-log
- Fotos
- Værktøjslogs
10. Underskrift
- Navn, dato og underskrift:
Typiske fejl
- rapporten blander sikring og analyse, så det er uklart, hvad der er fakta, og hvad der er vurdering,
- det, der ikke kunne sikres, nævnes ikke,
- egne indgreb før sikringen udelades,
- værktøjsversioner mangler, så metoden ikke kan efterprøves,
- tider uden tidszone.
Tilpasning
Skabelonen kan skæres ned til én side ved en enkelt eksport og udvides ved en sikring på flere lokationer. Hvis en IT-sagkyndig senere skal skrive en erklæring, er sikringsrapporten et vigtigt bilag. Indholdet af en IT-erklæring er beskrevet på Skabelon: indholdet i en IT-erklæring.
Relateret
Brug for en forensisk undersøgelse?
Skriv kort, hvilke systemer eller enheder det drejer sig om, og om noget haster, så vender jeg tilbage. Kun civile sager.
